[[Startseite|← Zurück zur Startseite]] # Datensicherung Gesichert werden zwei Welten, die wenig miteinander zu tun haben: die **Arbeitsplatzrechner samt Dokumentation** und ein **Virtualisierungsserver**, auf dem Haussteuerung, ein Dokumentenarchiv und weitere Dienste laufen. Beide Seiten brauchen unterschiedliche Verfahren – und beide müssen zusammen gedacht werden, sonst entstehen Lücken genau dort, wo niemand hinsieht. ## Der Rahmen: 3-2-1 Die Regel ist alt und trägt trotzdem: **drei Kopien, zwei verschiedene Medien, eine außer Haus.** Sie klingt nach Buchhaltung, beantwortet aber die einzige Frage, auf die es ankommt – *was überlebt den Schaden, den ich mir gerade nicht vorstelle?* Konkret bedeutet das hier drei Ebenen: | Ebene | Was sie abfängt | |---|---| | Sicherung der Arbeitsrechner auf ein NAS im Haus | Plattendefekt, versehentliches Löschen, verschlüsselnde Schadsoftware | | Tägliche Weitergabe vom NAS in einen Cloud-Speicher | Brand, Diebstahl, Wasserschaden – alles, was das Haus als Ganzes trifft | | Sicherung der virtualisierten Dienste auf zwei getrennte Ziele | Ausfall des Servers, misslungene Aktualisierung | | Ein zweiter, ausgeschalteter Server mit vollständiger Kopie | Schadsoftware, die erreichbare Sicherungen mitverschlüsselt | Die Dokumentation selbst liegt zusätzlich in einer Versionsverwaltung. Das ist weniger Sicherung als Gedächtnis: Man sieht nicht nur *dass* etwas anders ist, sondern **wann es sich geändert hat und warum**. ## Die vierte Ebene: ein Server, der ausgeschaltet ist Für den Virtualisierungsserver gibt es einen zweiten, baugleichen Server, der eine **vollständige Kopie** vorhält und regelmäßig nachgezogen wird. Im Normalbetrieb ist er **ausgeschaltet** – physisch getrennt vom laufenden System. Das nennt sich **Air-Gap-Backup**, und der Gedanke dahinter ist so einfach wie unbequem: Alles, was erreichbar ist, kann auch beschädigt werden. Eine Sicherung auf einem angeschlossenen Speicher schützt vor Plattendefekten und Bedienfehlern – aber nicht zuverlässig vor Schadsoftware, die sich durchs Netz arbeitet und gezielt Sicherungen mitverschlüsselt. Genau das ist bei Verschlüsselungstrojanern seit Jahren das übliche Vorgehen. **Ein Gerät, das keinen Strom hat, ist kein Ziel.** Es lässt sich nicht verschlüsseln, nicht löschen und nicht aus der Ferne verstellen. Der Preis dafür ist ebenso klar: Der Stand ist immer so aktuell wie die letzte Aktualisierung – und die passiert nicht von selbst, sondern muss angestoßen werden. Ein Air-Gap-Backup ist deshalb kein Ersatz für die laufenden Sicherungen, sondern die Ebene darunter: die Rückfallposition für den Fall, dass alles andere kompromittiert ist. Er ersetzt zugleich den ganzen Server, nicht nur die Daten. Nach einem Totalausfall müsste sonst zuerst das Wirtssystem neu aufgesetzt werden, bevor überhaupt etwas zurückgespielt werden kann – ein Schritt, der im Ernstfall Stunden kostet. ## Ein Snapshot ist kein Backup Der häufigste Denkfehler. Ein Snapshot friert den Zustand einer virtuellen Maschine ein und liegt **auf derselben Hardware** wie das Original. Er rettet vor einer misslungenen Aktualisierung – man springt in Sekunden zurück. Vor einem Plattendefekt rettet er **nichts**, denn er stirbt mit. Beides hat seine Berechtigung, aber sie sind keine Alternativen zueinander. Wer Snapshots für seine Sicherung hält, hat keine. ## Was uns die Praxis beigebracht hat **Zeitpläne kollidieren, und sie tun es leise.** Während eine Sicherung läuft, ist die betroffene Maschine gesperrt. Zog sich ein Lauf länger als üblich, scheiterte der planmäßige Snapshot eine Stunde später – ohne Fehlermeldung, ohne Mail. Sichtbar wurde es erst beim Blick ins Protokoll, wo derselbe Eintrag achtundzwanzigmal stand. Seitdem gilt: Ein Zeitplan wird nicht nur aufgestellt, sondern auf Überschneidungen **durchgerechnet** – und die Laufzeiten werden gemessen statt geschätzt. Der Unterschied zwischen 28 und 78 Minuten entscheidet darüber, ob zwei Jobs sich in die Quere kommen. **Aufbewahrung ist eine Rechenaufgabe, keine Geschmacksfrage.** Wie viele Sicherungsstände aufgehoben werden, darf man nicht nach Gefühl festlegen. Es ist eine Multiplikation aus Größe, Anzahl und verfügbarem Platz – und wenn das Ergebnis die Platte übersteigt, scheitert der Lauf mit „kein Speicherplatz". Auffallen tut das erst, wenn man es braucht. **Dokumentation, die an drei Stellen steht, ist an zwei Stellen falsch.** Die Zeitpläne waren über mehrere Notizen verteilt und stimmten überein – aus Zufall, nicht aus Struktur. Wer eine ändert und die anderen vergisst, hinterlässt einen stillen Widerspruch, der erst im Ernstfall auffällt. Seitdem gibt es genau **eine** maßgebliche Stelle; alles andere verweist dorthin. **Eine Sicherung, aus der noch nie zurückgespielt wurde, ist eine Vermutung.** Der Restore-Test ist der unbeliebteste Teil und der einzige, der beweist, dass das Ganze funktioniert. Wir haben ihn für das Dokumentenarchiv durchgeführt – für die übrigen Systeme steht er noch aus, und das ist hier ausdrücklich als offener Punkt vermerkt statt stillschweigend übergangen. ## Woran wir gerade arbeiten - **Die Aktualisierung des Air-Gap-Servers als festes Verfahren**: In welchem Abstand, mit welchen Schritten, und woran erkennt man, dass sie vollständig war? Ein Ersatzsystem, dessen Stand niemand kennt, ist im Ernstfall eine Wette - Restore-Tests für die verbleibenden Systeme - Lückenlose Erfassung aller Sicherungswege an einer Stelle, einschließlich der Frage, wie alt der jüngste Wiederherstellungspunkt jeweils ist - Klärung einer stark schwankenden Laufzeit bei einem der nächtlichen Läufe ## Was wir daraus mitnehmen Eine Sicherung ist kein Produkt, das man kauft und einschaltet. Sie ist ein Zusammenspiel aus Zeitplänen, Kapazitäten, Protokollen und der Bereitschaft, unbequeme Fragen zu stellen – vor allem die eine: *Wann haben wir zuletzt geprüft, dass es wirklich funktioniert?* --- *Stand: 26.07.2026* --- [[Impressum|Impressum]] | [[Datenschutzerklärung|Datenschutz]]